5.10. GCP を使用した OADP の設定

5.10.1. Google Cloud Platform を使用した OpenShift API for Data Protection の設定
リンクのコピー

OADP Operator をインストールすることで、Google Cloud Platform (GCP) を使用して OpenShift API for Data Protection (OADP) をインストールします。Operator は Velero 1.14 をインストールします。

注記

OADP 1.0.4 以降、すべての OADP 1.0.z バージョンは Migration Toolkit for Containers Operator の依存関係としてのみ使用でき、スタンドアロン Operator として使用することはできません。

Velero 向けに GCP を設定し、デフォルトの Secret を作成し、次に、Data Protection Application をインストールします。詳細は、OADP Operator のインストールを参照してください。

制限されたネットワーク環境に OADP Operator をインストールするには、最初にデフォルトの OperatorHub ソースを無効にして、Operator カタログをミラーリングする必要があります。詳細は、非接続環境での Operator Lifecycle Manager の使用を参照してください。

5.10.1.1. Google Cloud Platform の設定
リンクのコピー

OpenShift API for Data Protection (OADP) 用に Google Cloud Platform (GCP) を設定します。

前提条件

gcloud および gsutil CLI ツールがインストールされている必要があります。詳細は、Google Cloud のドキュメントをご覧ください。

手順

GCP にログインします。
```
gcloud auth login
```
```
$ gcloud auth login
```
Copy to Clipboard Toggle word wrap
BUCKET 変数を設定します。
```
BUCKET=<bucket>
```
```
$ BUCKET=<bucket> 
```
1
Copy to Clipboard Toggle word wrap
1
バケット名を指定します。
ストレージバケットを作成します。
```
gsutil mb gs://$BUCKET/
```
```
$ gsutil mb gs://$BUCKET/
```
Copy to Clipboard Toggle word wrap
PROJECT_ID 変数をアクティブなプロジェクトに設定します。
```
PROJECT_ID=$(gcloud config get-value project)
```
```
$ PROJECT_ID=$(gcloud config get-value project)
```
Copy to Clipboard Toggle word wrap

サービスアカウントを作成します。

gcloud iam service-accounts create velero \
    --display-name "Velero service account"

$ gcloud iam service-accounts create velero \
    --display-name "Velero service account"

Copy to Clipboard

Toggle word wrap

サービスアカウントをリスト表示します。
```
gcloud iam service-accounts list
```
```
$ gcloud iam service-accounts list
```
Copy to Clipboard Toggle word wrap

email の値と一致するように SERVICE_ACCOUNT_EMAIL 変数を設定します。

SERVICE_ACCOUNT_EMAIL=$(gcloud iam service-accounts list \
    --filter="displayName:Velero service account" \
    --format 'value(email)')

$ SERVICE_ACCOUNT_EMAIL=$(gcloud iam service-accounts list \
    --filter="displayName:Velero service account" \
    --format 'value(email)')

Copy to Clipboard

Toggle word wrap

ポリシーを添付して、velero ユーザーに必要最小限の権限を付与します。

ROLE_PERMISSIONS=(

$ ROLE_PERMISSIONS=(
    compute.disks.get
    compute.disks.create
    compute.disks.createSnapshot
    compute.snapshots.get
    compute.snapshots.create
    compute.snapshots.useReadOnly
    compute.snapshots.delete
    compute.zones.get
    storage.objects.create
    storage.objects.delete
    storage.objects.get
    storage.objects.list
    iam.serviceAccounts.signBlob
)

Copy to Clipboard

Toggle word wrap

velero.server カスタムロールを作成します。

gcloud iam roles create velero.server \
    --project $PROJECT_ID \
    --title "Velero Server" \
    --permissions "$(IFS=","; echo "${ROLE_PERMISSIONS[*]}")"

$ gcloud iam roles create velero.server \
    --project $PROJECT_ID \
    --title "Velero Server" \
    --permissions "$(IFS=","; echo "${ROLE_PERMISSIONS[*]}")"

Copy to Clipboard

Toggle word wrap

IAM ポリシーバインディングをプロジェクトに追加します。

gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member serviceAccount:$SERVICE_ACCOUNT_EMAIL \
    --role projects/$PROJECT_ID/roles/velero.server

$ gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member serviceAccount:$SERVICE_ACCOUNT_EMAIL \
    --role projects/$PROJECT_ID/roles/velero.server

Copy to Clipboard

Toggle word wrap

IAM サービスアカウントを更新します。

gsutil iam ch serviceAccount:$SERVICE_ACCOUNT_EMAIL:objectAdmin gs://${BUCKET}

$ gsutil iam ch serviceAccount:$SERVICE_ACCOUNT_EMAIL:objectAdmin gs://${BUCKET}

Copy to Clipboard

Toggle word wrap

IAM サービスアカウントのキーを現在のディレクトリーにある credentials-velero ファイルに保存します。
```
gcloud iam service-accounts keys create credentials-velero \
    --iam-account $SERVICE_ACCOUNT_EMAIL
```
```
$ gcloud iam service-accounts keys create credentials-velero \
    --iam-account $SERVICE_ACCOUNT_EMAIL
```
Copy to Clipboard Toggle word wrap
Data Protection Application をインストールする前に、credentials-velero ファイルを使用して GCP の Secret オブジェクトを作成します。

5.10.1.2. バックアップおよびスナップショットの場所、ならびにそのシークレットについて
リンクのコピー

DataProtectionApplication カスタムリソース (CR) で、バックアップおよびスナップショットの場所、ならびにそのシークレットを指定します。

バックアップの場所

バックアップの場所として、次のいずれかの AWS S3 互換オブジェクトストレージソリューションを指定できます。

Multicloud Object Gateway (MCG)
Red Hat Container Storage
Ceph RADOS Gateway (別称 Ceph Object Gateway)
Red Hat OpenShift Data Foundation
MinIO

Velero は、オブジェクトストレージのアーカイブファイルとして、OpenShift Container Platform リソース、Kubernetes オブジェクト、および内部イメージをバックアップします。

スナップショットの場所

クラウドプロバイダーのネイティブスナップショット API を使用して永続ボリュームをバックアップする場合、クラウドプロバイダーをスナップショットの場所として指定する必要があります。

Container Storage Interface (CSI) スナップショットを使用する場合、CSI ドライバーを登録するために VolumeSnapshotClass CR を作成するため、スナップショットの場所を指定する必要はありません。

File System Backup (FSB) を使用する場合、FSB がオブジェクトストレージ上にファイルシステムをバックアップするため、スナップショットの場所を指定する必要はありません。

シークレット

バックアップとスナップショットの場所が同じ認証情報を使用する場合、またはスナップショットの場所が必要ない場合は、デフォルトの Secret を作成します。

バックアップとスナップショットの場所で異なる認証情報を使用する場合は、次の 2 つの secret オブジェクトを作成します。

DataProtectionApplication CR で指定する、バックアップの場所用のカスタム Secret。
DataProtectionApplication CR で参照されない、スナップショットの場所用のデフォルト Secret。

重要

Data Protection Application には、デフォルトの Secret が必要です。作成しないと、インストールは失敗します。

インストール中にバックアップまたはスナップショットの場所を指定したくない場合は、空の credentials-velero ファイルを使用してデフォルトの Secret を作成できます。

5.10.1.2.1. デフォルト Secret の作成
リンクのコピー

Secret のデフォルト名は cloud-credentials-gcp です。

注記

DataProtectionApplication カスタムリソース (CR) にはデフォルトの Secret が必要です。作成しないと、インストールは失敗します。バックアップの場所の Secret の名前が指定されていない場合は、デフォルトの名前が使用されます。

インストール時にバックアップの場所の認証情報を使用しない場合は、空の credentials-velero ファイルを使用してデフォルト名前で Secret を作成できます。

前提条件

オブジェクトストレージとクラウドストレージがある場合は、同じ認証情報を使用する必要があります。
Velero のオブジェクトストレージを設定する必要があります。

手順

Backup Storage Location の credentials-velero ファイルをクラウドプロバイダーに適した形式で作成します。

デフォルト名で Secret カスタムリソース (CR) を作成します。

oc create secret generic cloud-credentials-gcp -n openshift-adp --from-file cloud=credentials-velero

$ oc create secret generic cloud-credentials-gcp -n openshift-adp --from-file cloud=credentials-velero

Copy to Clipboard

Toggle word wrap

Secret は、Data Protection Application をインストールするときに、DataProtectionApplication CR の spec.backupLocations.credential ブロックで参照されます。

5.10.1.2.2. 異なる認証情報のシークレットの作成
リンクのコピー

バックアップとスナップショットの場所で異なる認証情報を使用する場合は、次の 2 つの Secret オブジェクトを作成する必要があります。

カスタム名を持つバックアップロケーションの Secret。カスタム名は、DataProtectionApplication カスタムリソース (CR) の spec.backupLocations ブロックで指定されます。
スナップショットの場所 Secret (デフォルト名は cloud-credentials-gcp)。この Secret は、DataProtectionApplication で指定されていません。

手順

スナップショットの場所の credentials-velero ファイルをクラウドプロバイダーに適した形式で作成します。

デフォルト名でスナップショットの場所の Secret を作成します。

oc create secret generic cloud-credentials-gcp -n openshift-adp --from-file cloud=credentials-velero

$ oc create secret generic cloud-credentials-gcp -n openshift-adp --from-file cloud=credentials-velero

Copy to Clipboard

Toggle word wrap

オブジェクトストレージに適した形式で、バックアップロケーションの credentials-velero ファイルを作成します。

カスタム名を使用してバックアップロケーションの Secret を作成します。

oc create secret generic <custom_secret> -n openshift-adp --from-file cloud=credentials-velero

$ oc create secret generic <custom_secret> -n openshift-adp --from-file cloud=credentials-velero

Copy to Clipboard

Toggle word wrap

次の例のように、カスタム名の Secret を DataProtectionApplication に追加します。

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
  namespace: openshift-adp
spec:
...
  backupLocations:
    - velero:
        provider: gcp
        default: true
        credential:
          key: cloud
          name: <custom_secret> 
        objectStorage:
          bucket: <bucket_name>
          prefix: <prefix>
  snapshotLocations:
    - velero:
        provider: gcp
        default: true
        config:
          project: <project>
          snapshotLocation: us-west1

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
  namespace: openshift-adp
spec:
...
  backupLocations:
    - velero:
        provider: gcp
        default: true
        credential:
          key: cloud
          name: <custom_secret>


        objectStorage:
          bucket: <bucket_name>
          prefix: <prefix>
  snapshotLocations:
    - velero:
        provider: gcp
        default: true
        config:
          project: <project>
          snapshotLocation: us-west1

Copy to Clipboard

Toggle word wrap

1: カスタム名を持つバックアップロケーションの Secret。

5.10.1.3. Data Protection Application の設定
リンクのコピー

Velero リソースの割り当てを設定するか、自己署名 CA 証明書を有効にして、Data Protection Application を設定できます。

5.10.1.3.1. Velero の CPU とメモリーのリソース割り当てを設定
リンクのコピー

DataProtectionApplication カスタムリソース (CR) マニフェストを編集して、Velero Pod の CPU およびメモリーリソースの割り当てを設定します。

前提条件

OpenShift API for Data Protection (OADP) Operator がインストールされている必要があります。

手順

次の例のように、DataProtectionApplication CR マニフェストの spec.configuration.velero.podConfig.ResourceAllocations ブロックの値を編集します。

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
spec:
# ...
  configuration:
    velero:
      podConfig:
        nodeSelector: <node_selector> 
        resourceAllocations: 
          limits:
            cpu: "1"
            memory: 1024Mi
          requests:
            cpu: 200m
            memory: 256Mi

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
spec:
# ...
  configuration:
    velero:
      podConfig:
        nodeSelector: <node_selector>


        resourceAllocations:


          limits:
            cpu: "1"
            memory: 1024Mi
          requests:
            cpu: 200m
            memory: 256Mi

Copy to Clipboard

Toggle word wrap

1: Velero podSpec に提供されるノードセレクターを指定します。
2: リストされている resourceAllocations は、平均使用量です。

注記

Kopia は OADP 1.3 以降のリリースで選択できます。Kopia はファイルシステムのバックアップに使用できます。組み込みの Data Mover を使用する Data Mover の場合は、Kopia が唯一の選択肢になります。

Kopia は Restic よりも多くのリソースを消費するため、それに応じて CPU とメモリーの要件を調整しなければならない場合があります。

nodeSelector フィールドを使用して、ノードエージェントを実行できるノードを選択します。nodeSelector フィールドは、推奨される最も単純な形式のノード選択制約です。指定したラベルが、各ノードのラベルと一致する必要があります。

詳細は、ノードエージェントとノードラベルの設定を参照してください。

5.10.1.3.2. 自己署名 CA 証明書の有効化
リンクのコピー

certificate signed by unknown authority エラーを防ぐために、DataProtectionApplication カスタムリソース (CR) マニフェストを編集して、オブジェクトストレージの自己署名 CA 証明書を有効にする必要があります。

前提条件

OpenShift API for Data Protection (OADP) Operator がインストールされている必要があります。

手順

DataProtectionApplication CR マニフェストの spec.backupLocations.velero.objectStorage.caCert パラメーターと spec.backupLocations.velero.config パラメーターを編集します。

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
spec:
# ...
  backupLocations:
    - name: default
      velero:
        provider: aws
        default: true
        objectStorage:
          bucket: <bucket>
          prefix: <prefix>
          caCert: <base64_encoded_cert_string> 
        config:
          insecureSkipTLSVerify: "false" 
# ...

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
spec:
# ...
  backupLocations:
    - name: default
      velero:
        provider: aws
        default: true
        objectStorage:
          bucket: <bucket>
          prefix: <prefix>
          caCert: <base64_encoded_cert_string>


        config:
          insecureSkipTLSVerify: "false"


# ...

Copy to Clipboard

Toggle word wrap

1: Base64 でエンコードされた CA 証明書文字列を指定します。
2: insecureSkipTLSVerify 設定は、"true" または "false" のいずれかに設定できます。"true" に設定すると、SSL/TLS セキュリティーが無効になります。"false" に設定すると、SSL/TLS セキュリティーが有効になります。

5.10.1.3.2.1. Velero デプロイメント用のエイリアス化した velero コマンドで CA 証明書を使用する
リンクのコピー

Velero CLI のエイリアスを作成することで、システムにローカルにインストールせずに Velero CLI を使用できます。

前提条件

cluster-admin ロールを持つユーザーとして OpenShift Container Platform クラスターにログインしている。

OpenShift CLI (oc) がインストールされている。

エイリアス化した Velero コマンドを使用するには、次のコマンドを実行します。

alias velero='oc -n openshift-adp exec deployment/velero -c velero -it -- ./velero'

$ alias velero='oc -n openshift-adp exec deployment/velero -c velero -it -- ./velero'

Copy to Clipboard

Toggle word wrap

次のコマンドを実行して、エイリアスが機能していることを確認します。
例
```
velero version
```
```
$ velero version
Client:
	Version: v1.12.1-OADP
	Git commit: -
Server:
	Version: v1.12.1-OADP
```
Copy to Clipboard Toggle word wrap

このコマンドで CA 証明書を使用するには、次のコマンドを実行して証明書を Velero デプロイメントに追加できます。

CA_CERT=$(oc -n openshift-adp get dataprotectionapplications.oadp.openshift.io <dpa-name> -o jsonpath='{.spec.backupLocations[0].velero.objectStorage.caCert}')
[[ -n $CA_CERT ]] && echo "$CA_CERT" | base64 -d | oc exec -n openshift-adp -i deploy/velero -c velero -- bash -c "cat > /tmp/your-cacert.txt" || echo "DPA BSL has no caCert"

$ CA_CERT=$(oc -n openshift-adp get dataprotectionapplications.oadp.openshift.io <dpa-name> -o jsonpath='{.spec.backupLocations[0].velero.objectStorage.caCert}')

$ [[ -n $CA_CERT ]] && echo "$CA_CERT" | base64 -d | oc exec -n openshift-adp -i deploy/velero -c velero -- bash -c "cat > /tmp/your-cacert.txt" || echo "DPA BSL has no caCert"

Copy to Clipboard

Toggle word wrap

velero describe backup <backup_name> --details --cacert /tmp/<your_cacert>.txt

$ velero describe backup <backup_name> --details --cacert /tmp/<your_cacert>.txt

Copy to Clipboard

Toggle word wrap

バックアップログを取得するために、次のコマンドを実行します。
```
velero backup logs  <backup_name>  --cacert /tmp/<your_cacert.txt>
```
```
$ velero backup logs  <backup_name>  --cacert /tmp/<your_cacert.txt>
```
Copy to Clipboard Toggle word wrap
このログを使用して、バックアップできないリソースの障害と警告を表示できます。
Velero Pod が再起動すると、/tmp/your-cacert.txt ファイルが消去されます。そのため、前の手順のコマンドを再実行して /tmp/your-cacert.txt ファイルを再作成する必要があります。
次のコマンドを実行すると、/tmp/your-cacert.txt ファイルを保存した場所にファイルがまだ存在するかどうかを確認できます。
```
oc exec -n openshift-adp -i deploy/velero -c velero -- bash -c "ls /tmp/your-cacert.txt"
```
```
$ oc exec -n openshift-adp -i deploy/velero -c velero -- bash -c "ls /tmp/your-cacert.txt"
/tmp/your-cacert.txt
```
Copy to Clipboard Toggle word wrap

OpenShift API for Data Protection (OADP) の今後のリリースでは、この手順が不要になるように証明書を Velero Pod にマウントする予定です。

5.10.1.4. Google Workload Identity 連携のクラウド認証
リンクのコピー

Google Cloud の外で実行されているアプリケーションは、ユーザー名やパスワードなどのサービスアカウントキーを使用して、Google Cloud リソースにアクセスします。これらのサービスアカウントキーは、適切に管理されていない場合、セキュリティーリスクになる可能性があります。

Google Workload Identity 連携を使用すると、Identity and Access Management (IAM) を使用して、サービスアカウントに成り代わる機能などの IAM ロールを外部アイデンティティーに付与できます。これにより、サービスアカウントキーに関連するメンテナンスとセキュリティーのリスクが排除されます。

Workload Identity 連携は、証明書の暗号化と復号化、ユーザー属性の抽出、および検証を処理します。Identity 連携は認証を外部化し、それをセキュリティートークンサービス (STS) に渡すことで、個々の開発者の負担を軽減します。リソースへのアクセスの認可と制御は、引き続きアプリケーションが処理します。

注記

Google Workload Identity 連携は、OADP 1.3.x 以降で利用できます。

ボリュームをバックアップする場合、Google Workload Identity 連携認証を使用した GCP 上の OADP は、CSI スナップショットのみをサポートします。

Google Workload Identity 連携認証を使用した GCP 上の OADP は、Volume Snapshot Locations (VSL) バックアップをサポートしません。詳細は、Google Workload Identity 連携の既知の問題を参照してください。

Google Workload Identity 連携クラウド認証を使用しない場合は、Data Protection Application のインストール に進みます。

前提条件

GCP Workload Identity を設定して、クラスターを主導モードでインストールしている。
Cloud Credential Operator ユーティリティー (ccoctl) と、関連する Workload Identity プールにアクセスできる。

手順

次のコマンドを実行して、oadp-credrequest ディレクトリーを作成します。
```
mkdir -p oadp-credrequest
```
```
$ mkdir -p oadp-credrequest
```
Copy to Clipboard Toggle word wrap

次のように、CredentialsRequest.yaml ファイルを作成します。

echo 'apiVersion: cloudcredential.openshift.io/v1
kind: CredentialsRequest
metadata:
  name: oadp-operator-credentials
  namespace: openshift-cloud-credential-operator
spec:
  providerSpec:
    apiVersion: cloudcredential.openshift.io/v1
    kind: GCPProviderSpec
    permissions:
    - compute.disks.get
    - compute.disks.create
    - compute.disks.createSnapshot
    - compute.snapshots.get
    - compute.snapshots.create
    - compute.snapshots.useReadOnly
    - compute.snapshots.delete
    - compute.zones.get
    - storage.objects.create
    - storage.objects.delete
    - storage.objects.get
    - storage.objects.list
    - iam.serviceAccounts.signBlob
    skipServiceCheck: true
  secretRef:
    name: cloud-credentials-gcp
    namespace: <OPERATOR_INSTALL_NS>
  serviceAccountNames:
  - velero
' > oadp-credrequest/credrequest.yaml

echo 'apiVersion: cloudcredential.openshift.io/v1
kind: CredentialsRequest
metadata:
  name: oadp-operator-credentials
  namespace: openshift-cloud-credential-operator
spec:
  providerSpec:
    apiVersion: cloudcredential.openshift.io/v1
    kind: GCPProviderSpec
    permissions:
    - compute.disks.get
    - compute.disks.create
    - compute.disks.createSnapshot
    - compute.snapshots.get
    - compute.snapshots.create
    - compute.snapshots.useReadOnly
    - compute.snapshots.delete
    - compute.zones.get
    - storage.objects.create
    - storage.objects.delete
    - storage.objects.get
    - storage.objects.list
    - iam.serviceAccounts.signBlob
    skipServiceCheck: true
  secretRef:
    name: cloud-credentials-gcp
    namespace: <OPERATOR_INSTALL_NS>
  serviceAccountNames:
  - velero
' > oadp-credrequest/credrequest.yaml

Copy to Clipboard

Toggle word wrap

次のコマンドを実行し、ccoctl ユーティリティーを使用して、oadp-credrequest ディレクトリー内の CredentialsRequest オブジェクトを処理します。

ccoctl gcp create-service-accounts \
    --name=<name> \
    --project=<gcp_project_id> \
    --credentials-requests-dir=oadp-credrequest \
    --workload-identity-pool=<pool_id> \
    --workload-identity-provider=<provider_id>

$ ccoctl gcp create-service-accounts \
    --name=<name> \
    --project=<gcp_project_id> \
    --credentials-requests-dir=oadp-credrequest \
    --workload-identity-pool=<pool_id> \
    --workload-identity-provider=<provider_id>

Copy to Clipboard

Toggle word wrap

これで、次のステップで manifests/openshift-adp-cloud-credentials-gcp-credentials.yaml ファイルを使用できるようになりました。

次のコマンドを実行して、namespace を作成します。
```
oc create namespace <OPERATOR_INSTALL_NS>
```
```
$ oc create namespace <OPERATOR_INSTALL_NS>
```
Copy to Clipboard Toggle word wrap

次のコマンドを実行して、認証情報を namespace に適用します。

oc apply -f manifests/openshift-adp-cloud-credentials-gcp-credentials.yaml

$ oc apply -f manifests/openshift-adp-cloud-credentials-gcp-credentials.yaml

Copy to Clipboard

Toggle word wrap

5.10.1.4.1. Google Workload Identity 連携の既知の問題
リンクのコピー

GCP Workload Identity 連携が設定されている場合、Volume Snapshot Location (VSL) バックアップは PartiallyFailed フェーズで終了します。Google Workload Identity 連携認証は、VSL バックアップをサポートしません。

5.10.1.5. Data Protection Application のインストール
リンクのコピー

DataProtectionApplication API のインスタンスを作成して、Data Protection Application (DPA) をインストールします。

前提条件

OADP Operator をインストールする。
オブジェクトストレージをバックアップロケーションとして設定する必要がある。
スナップショットを使用して PV をバックアップする場合、クラウドプロバイダーはネイティブスナップショット API または Container Storage Interface (CSI) スナップショットのいずれかをサポートする必要がある。
バックアップとスナップショットの場所で同じ認証情報を使用する場合は、デフォルトの名前である cloud-credentials-gcp を使用して Secret を作成する必要がある。
バックアップとスナップショットの場所で異なる認証情報を使用する場合は、以下のように 2 つの Secrets を作成する必要がある。
- バックアップの場所用のカスタム名を持つ Secret。この Secret を DataProtectionApplication CR に追加します。
- スナップショットの場所用の別のカスタム名を持つ Secret。この Secret を DataProtectionApplication CR に追加します。
注記
インストール中にバックアップまたはスナップショットの場所を指定したくない場合は、空の credentials-velero ファイルを使用してデフォルトの Secret を作成できます。デフォルトの Secret がない場合、インストールは失敗します。

手順

Operators Installed Operators をクリックして、OADP Operator を選択します。
Provided APIs で、DataProtectionApplication ボックスの Create instance をクリックします。
YAML View をクリックして、DataProtectionApplication マニフェストのパラメーターを更新します。
```
apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
  namespace: <OPERATOR_INSTALL_NS> 
spec:
  configuration:
    velero:
      defaultPlugins:
        - gcp
        - openshift 
      resourceTimeout: 10m 
    nodeAgent: 
      enable: true 
      uploaderType: kopia 
      podConfig:
        nodeSelector: <node_selector> 
  backupLocations:
    - velero:
        provider: gcp
        default: true
        credential:
          key: cloud 
          name: cloud-credentials-gcp 
        objectStorage:
          bucket: <bucket_name> 
          prefix: <prefix> 
  snapshotLocations: 
    - velero:
        provider: gcp
        default: true
        config:
          project: <project>
          snapshotLocation: us-west1 
        credential:
          key: cloud
          name: cloud-credentials-gcp 
  backupImages: true 
```
```
apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: <dpa_sample>
  namespace: <OPERATOR_INSTALL_NS> 
```
1
```
spec:
  configuration:
    velero:
      defaultPlugins:
        - gcp
        - openshift 
```
2
```
      resourceTimeout: 10m 
```
3
```
    nodeAgent: 
```
4
```
      enable: true 
```
5
```
      uploaderType: kopia 
```
6
```
      podConfig:
        nodeSelector: <node_selector> 
```
7
```
  backupLocations:
    - velero:
        provider: gcp
        default: true
        credential:
          key: cloud 
```
8
```
          name: cloud-credentials-gcp 
```
9
```
        objectStorage:
          bucket: <bucket_name> 
```
10
```
          prefix: <prefix> 
```
11
```
  snapshotLocations: 
```
12
```
    - velero:
        provider: gcp
        default: true
        config:
          project: <project>
          snapshotLocation: us-west1 
```
13
```
        credential:
          key: cloud
          name: cloud-credentials-gcp 
```
14
```
  backupImages: true 
```
15
Copy to Clipboard Toggle word wrap
1
OADP のデフォルトの namespace は openshift-adp です。namespace は変数であり、設定可能です。
2
openshift プラグインは必須です。
3
Velero CRD の可用性、volumeSnapshot の削除、バックアップリポジトリーの可用性など、タイムアウトが発生するまでに複数の Velero リソースを待機する時間を分単位で指定します。デフォルトは 10m です。
4
管理要求をサーバーにルーティングする管理エージェント。
5
nodeAgent を有効にして File System Backup を実行する場合は、この値を true に設定します。
6
アップローダーとして kopia または restic と入力します。インストール後に選択を変更することはできません。組み込み DataMover の場合は、Kopia を使用する必要があります。nodeAgent はデーモンセットをデプロイします。これは、nodeAgent Pod が各ワーキングノード上で実行されることを意味します。File System Backup を設定するには、spec.defaultVolumesToFsBackup: true を Backup CR に追加します。
7
Kopia または Restic が使用可能なノードを指定します。デフォルトでは、Kopia または Restic はすべてのノードで実行されます。
8
認証情報を含む秘密鍵。Google Workload Identity 連携クラウド認証の場合は、service_account.json を使用します。
9
認証情報を含むシークレットの名前。この値を指定しない場合は、デフォルトの名前である cloud-credentials-gcp が使用されます。
10
Backup Storage Location としてバケットを指定します。バケットが Velero バックアップ専用のバケットでない場合は、接頭辞を指定する必要があります。
11
バケットが複数の目的で使用される場合は、Velero バックアップの接頭辞を指定します (例: velero)。
12
CSI スナップショットまたは Restic を使用して PV をバックアップする場合を除き、スナップショットの場所を指定します。
13
スナップショットの場所は、PV と同じリージョンにある必要があります。
14
作成した Secret オブジェクトの名前を指定します。この値を指定しない場合は、デフォルトの名前である cloud-credentials-gcp が使用されます。カスタム名を指定すると、バックアップの場所にカスタム名が使用されます。
15
Google Workload Identity 連携は、内部イメージのバックアップをサポートしています。イメージのバックアップを使用しない場合は、このフィールドを false に設定します。
Create をクリックします。

検証

次のコマンドを実行して OpenShift API for Data Protection (OADP) リソースを表示し、インストールを検証します。

oc get all -n openshift-adp

$ oc get all -n openshift-adp

Copy to Clipboard

Toggle word wrap

出力例

NAME                                                     READY   STATUS    RESTARTS   AGE
pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
pod/node-agent-9cq4q                                     1/1     Running   0          94s
pod/node-agent-m4lts                                     1/1     Running   0          94s
pod/node-agent-pv4kr                                     1/1     Running   0          95s
pod/velero-588db7f655-n842v                              1/1     Running   0          95s

NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h

NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
daemonset.apps/node-agent    3         3         3       3            3           <none>          96s

NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
deployment.apps/velero                              1/1     1            1           96s

NAME                                                           DESIRED   CURRENT   READY   AGE
replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
replicaset.apps/velero-588db7f655                              1         1         1       96s

NAME                                                     READY   STATUS    RESTARTS   AGE
pod/oadp-operator-controller-manager-67d9494d47-6l8z8    2/2     Running   0          2m8s
pod/node-agent-9cq4q                                     1/1     Running   0          94s
pod/node-agent-m4lts                                     1/1     Running   0          94s
pod/node-agent-pv4kr                                     1/1     Running   0          95s
pod/velero-588db7f655-n842v                              1/1     Running   0          95s

NAME                                                       TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)    AGE
service/oadp-operator-controller-manager-metrics-service   ClusterIP   172.30.70.140    <none>        8443/TCP   2m8s
service/openshift-adp-velero-metrics-svc                   ClusterIP   172.30.10.0      <none>        8085/TCP   8h

NAME                        DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
daemonset.apps/node-agent    3         3         3       3            3           <none>          96s

NAME                                                READY   UP-TO-DATE   AVAILABLE   AGE
deployment.apps/oadp-operator-controller-manager    1/1     1            1           2m9s
deployment.apps/velero                              1/1     1            1           96s

NAME                                                           DESIRED   CURRENT   READY   AGE
replicaset.apps/oadp-operator-controller-manager-67d9494d47    1         1         1       2m9s
replicaset.apps/velero-588db7f655                              1         1         1       96s

Copy to Clipboard

Toggle word wrap

次のコマンドを実行して、DataProtectionApplication (DPA) が調整されていることを確認します。

oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

$ oc get dpa dpa-sample -n openshift-adp -o jsonpath='{.status}'

Copy to Clipboard

Toggle word wrap

出力例

{"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

{"conditions":[{"lastTransitionTime":"2023-10-27T01:23:57Z","message":"Reconcile complete","reason":"Complete","status":"True","type":"Reconciled"}]}

Copy to Clipboard

Toggle word wrap

type が Reconciled に設定されていることを確認します。

次のコマンドを実行して、Backup Storage Location を確認し、PHASE が Available であることを確認します。

oc get backupstoragelocations.velero.io -n openshift-adp

$ oc get backupstoragelocations.velero.io -n openshift-adp

Copy to Clipboard

Toggle word wrap

出力例

NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
dpa-sample-1   Available   1s               3d16h   true

NAME           PHASE       LAST VALIDATED   AGE     DEFAULT
dpa-sample-1   Available   1s               3d16h   true

Copy to Clipboard

Toggle word wrap

5.10.1.6. クライアントバースト設定と QPS 設定を使用した DPA の設定
リンクのコピー

バースト設定は、制限が適用されるまで velero サーバーに送信できる要求の数を決定するものです。バースト制限に達した後は、1 秒あたりのクエリー数 (QPS) 設定によって、1 秒あたりに送信できる追加の要求の数が決定されます。

バースト値と QPS 値を使用して Data Protection Application (DPA) を設定することにより、velero サーバーのバースト値と QPS 値を設定できます。バースト値と QPS 値は、DPA の dpa.configuration.velero.client-burst フィールドと dpa.configuration.velero.client-qps フィールドを使用して設定できます。

前提条件

OADP Operator がインストールされている。

手順

次の例に示すように、DPA の client-burst フィールドと client-qps フィールドを設定します。

Data Protection Application の例

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: test-dpa
  namespace: openshift-adp
spec:
  backupLocations:
    - name: default
      velero:
        config:
          insecureSkipTLSVerify: "true"
          profile: "default"
          region: <bucket_region>
          s3ForcePathStyle: "true"
          s3Url: <bucket_url>
        credential:
          key: cloud
          name: cloud-credentials
        default: true
        objectStorage:
          bucket: <bucket_name>
          prefix: velero
        provider: aws
  configuration:
    nodeAgent:
      enable: true
      uploaderType: restic
    velero:
      client-burst: 500 
      client-qps: 300 
      defaultPlugins:
        - openshift
        - aws
        - kubevirt

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: test-dpa
  namespace: openshift-adp
spec:
  backupLocations:
    - name: default
      velero:
        config:
          insecureSkipTLSVerify: "true"
          profile: "default"
          region: <bucket_region>
          s3ForcePathStyle: "true"
          s3Url: <bucket_url>
        credential:
          key: cloud
          name: cloud-credentials
        default: true
        objectStorage:
          bucket: <bucket_name>
          prefix: velero
        provider: aws
  configuration:
    nodeAgent:
      enable: true
      uploaderType: restic
    velero:
      client-burst: 500


      client-qps: 300


      defaultPlugins:
        - openshift
        - aws
        - kubevirt

Copy to Clipboard

Toggle word wrap

1: client-burst 値を指定します。この例では、client-burst フィールドは 500 に設定されています。
2: client-qps 値を指定します。この例では、client-qps フィールドは 300 に設定されています。

5.10.1.7. DPA の imagePullPolicy 設定のオーバーライド
リンクのコピー

OADP 1.4.0 以前では、Operator はすべてのイメージで Velero およびノードエージェント Pod の imagePullPolicy フィールドを Always に設定します。

OADP 1.4.1 以降では、Operator はまず、各イメージに sha256 または sha512 ダイジェストがあるかを確認し、それに応じて imagePullPolicy フィールドを設定します。

イメージにダイジェストがある場合、Operator は imagePullPolicy を IfNotPresent に設定します。
イメージにダイジェストがない場合、Operator は imagePullPolicy を Always に設定します。

Data Protection Application (DPA) の spec.imagePullPolicy フィールドを使用して、imagePullPolicy フィールドをオーバーライドすることもできます。

前提条件

OADP Operator がインストールされている。

手順

以下の例のように、DPA の spec.imagePullPolicy フィールドを設定します。

Data Protection Application の例

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: test-dpa
  namespace: openshift-adp
spec:
  backupLocations:
    - name: default
      velero:
        config:
          insecureSkipTLSVerify: "true"
          profile: "default"
          region: <bucket_region>
          s3ForcePathStyle: "true"
          s3Url: <bucket_url>
        credential:
          key: cloud
          name: cloud-credentials
        default: true
        objectStorage:
          bucket: <bucket_name>
          prefix: velero
        provider: aws
  configuration:
    nodeAgent:
      enable: true
      uploaderType: kopia
    velero:
      defaultPlugins:
        - openshift
        - aws
        - kubevirt
        - csi
  imagePullPolicy: Never

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
metadata:
  name: test-dpa
  namespace: openshift-adp
spec:
  backupLocations:
    - name: default
      velero:
        config:
          insecureSkipTLSVerify: "true"
          profile: "default"
          region: <bucket_region>
          s3ForcePathStyle: "true"
          s3Url: <bucket_url>
        credential:
          key: cloud
          name: cloud-credentials
        default: true
        objectStorage:
          bucket: <bucket_name>
          prefix: velero
        provider: aws
  configuration:
    nodeAgent:
      enable: true
      uploaderType: kopia
    velero:
      defaultPlugins:
        - openshift
        - aws
        - kubevirt
        - csi
  imagePullPolicy: Never

Copy to Clipboard

Toggle word wrap

1: imagePullPolicy の値を指定します。この例では、imagePullPolicy フィールドが Never に設定されています。

5.10.1.7.1. ノードエージェントとノードラベルの設定
リンクのコピー

OADP の DPA は、nodeSelector フィールドを使用して、ノードエージェントを実行できるノードを選択します。nodeSelector フィールドは、推奨される最も単純な形式のノード選択制約です。

指定したラベルが、各ノードのラベルと一致する必要があります。

選択した任意のノードでノードエージェントを実行する正しい方法は、ノードにカスタムラベルを付けることです。

oc label node/<node_name> node-role.kubernetes.io/nodeAgent=""

$ oc label node/<node_name> node-role.kubernetes.io/nodeAgent=""

Copy to Clipboard

Toggle word wrap

ノードのラベル付けに使用したのと同じカスタムラベルを DPA.spec.configuration.nodeAgent.podConfig.nodeSelector で使用します。以下に例を示します。

configuration:
  nodeAgent:
    enable: true
    podConfig:
      nodeSelector:
        node-role.kubernetes.io/nodeAgent: ""

configuration:
  nodeAgent:
    enable: true
    podConfig:
      nodeSelector:
        node-role.kubernetes.io/nodeAgent: ""

Copy to Clipboard

Toggle word wrap

次の例は nodeSelector のアンチパターンです。この例は、ノードに 'node-role.kubernetes.io/infra: ""' と 'node-role.kubernetes.io/worker: ""' の両方のラベルがないと機能しません。

    configuration:
      nodeAgent:
        enable: true
        podConfig:
          nodeSelector:
            node-role.kubernetes.io/infra: ""
            node-role.kubernetes.io/worker: ""

    configuration:
      nodeAgent:
        enable: true
        podConfig:
          nodeSelector:
            node-role.kubernetes.io/infra: ""
            node-role.kubernetes.io/worker: ""

Copy to Clipboard

Toggle word wrap

5.10.1.7.2. DataProtectionApplication CR で CSI を有効にする
リンクのコピー

CSI スナップショットを使用して永続ボリュームをバックアップするには、DataProtectionApplication カスタムリソース (CR) で Container Storage Interface (CSI) を有効にします。

前提条件

クラウドプロバイダーは、CSI スナップショットをサポートする必要があります。

手順

次の例のように、DataProtectionApplication CR を編集します。

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
...
spec:
  configuration:
    velero:
      defaultPlugins:
      - openshift
      - csi

apiVersion: oadp.openshift.io/v1alpha1
kind: DataProtectionApplication
...
spec:
  configuration:
    velero:
      defaultPlugins:
      - openshift
      - csi

Copy to Clipboard

Toggle word wrap

1: csi デフォルトプラグインを追加します。

5.10.1.7.3. DataProtectionApplication でノードエージェントを無効にする
リンクのコピー

バックアップに Restic、Kopia、または DataMover を使用していない場合は、DataProtectionApplication カスタムリソース (CR) の nodeAgent フィールドを無効にすることができます。nodeAgent を無効にする前に、OADP Operator がアイドル状態であり、バックアップを実行していないことを確認してください。

手順

nodeAgent を無効にするには、enable フラグを false に設定します。以下の例を参照してください。
DataProtectionApplication CR の例
```
# ...
configuration:
  nodeAgent:
    enable: false  
    uploaderType: kopia
# ...
```
```
# ...
configuration:
  nodeAgent:
    enable: false  
```
1
```
    uploaderType: kopia
# ...
```
Copy to Clipboard Toggle word wrap
1
ノードエージェントを無効にします。
nodeAgent を有効にするには、enable フラグを true に設定します。以下の例を参照してください。
DataProtectionApplication CR の例
```
# ...
configuration:
  nodeAgent:
    enable: true  
    uploaderType: kopia
# ...
```
```
# ...
configuration:
  nodeAgent:
    enable: true  
```
1
```
    uploaderType: kopia
# ...
```
Copy to Clipboard Toggle word wrap
1
ノードエージェントを有効にします。

ジョブをセットアップして、DataProtectionApplication CR の nodeAgent フィールドを有効または無効にすることができます。詳細は、「ジョブの使用による Pod でのタスクの実行」を参照してください。

トップに戻る

5.10. GCP を使用した OADP の設定

5.10.1. Google Cloud Platform を使用した OpenShift API for Data Protection の設定
リンクのコピー

5.10.1.1. Google Cloud Platform の設定
リンクのコピー

5.10.1.2. バックアップおよびスナップショットの場所、ならびにそのシークレットについて
リンクのコピー

バックアップの場所

スナップショットの場所

シークレット

5.10.1.2.1. デフォルト Secret の作成
リンクのコピー

5.10.1.2.2. 異なる認証情報のシークレットの作成
リンクのコピー

5.10.1.3. Data Protection Application の設定
リンクのコピー

5.10.1.3.1. Velero の CPU とメモリーのリソース割り当てを設定
リンクのコピー

5.10.1.3.2. 自己署名 CA 証明書の有効化
リンクのコピー

5.10.1.3.2.1. Velero デプロイメント用のエイリアス化した velero コマンドで CA 証明書を使用する
リンクのコピー

5.10.1.4. Google Workload Identity 連携のクラウド認証
リンクのコピー

5.10.1.4.1. Google Workload Identity 連携の既知の問題
リンクのコピー

5.10.1.5. Data Protection Application のインストール
リンクのコピー

5.10.1.6. クライアントバースト設定と QPS 設定を使用した DPA の設定
リンクのコピー

5.10.1.7. DPA の imagePullPolicy 設定のオーバーライド
リンクのコピー

5.10.1.7.1. ノードエージェントとノードラベルの設定
リンクのコピー

5.10.1.7.2. DataProtectionApplication CR で CSI を有効にする
リンクのコピー

5.10.1.7.3. DataProtectionApplication でノードエージェントを無効にする
リンクのコピー

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

5.10. GCP を使用した OADP の設定

5.10.1. Google Cloud Platform を使用した OpenShift API for Data Protection の設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.1. Google Cloud Platform の設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.2. バックアップおよびスナップショットの場所、ならびにそのシークレットについてリンクのコピーリンクがクリップボードにコピーされました!

バックアップの場所

スナップショットの場所

シークレット

5.10.1.2.1. デフォルト Secret の作成リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.2.2. 異なる認証情報のシークレットの作成リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.3. Data Protection Application の設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.3.1. Velero の CPU とメモリーのリソース割り当てを設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.3.2. 自己署名 CA 証明書の有効化リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.3.2.1. Velero デプロイメント用のエイリアス化した velero コマンドで CA 証明書を使用するリンクのコピーリンクがクリップボードにコピーされました!

5.10.1.4. Google Workload Identity 連携のクラウド認証リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.4.1. Google Workload Identity 連携の既知の問題リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.5. Data Protection Application のインストールリンクのコピーリンクがクリップボードにコピーされました!

5.10.1.6. クライアントバースト設定と QPS 設定を使用した DPA の設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.7. DPA の imagePullPolicy 設定のオーバーライドリンクのコピーリンクがクリップボードにコピーされました!

5.10.1.7.1. ノードエージェントとノードラベルの設定リンクのコピーリンクがクリップボードにコピーされました!

5.10.1.7.2. DataProtectionApplication CR で CSI を有効にするリンクのコピーリンクがクリップボードにコピーされました!

5.10.1.7.3. DataProtectionApplication でノードエージェントを無効にするリンクのコピーリンクがクリップボードにコピーされました!

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

5.10.1. Google Cloud Platform を使用した OpenShift API for Data Protection の設定
リンクのコピー

5.10.1.1. Google Cloud Platform の設定
リンクのコピー

5.10.1.2. バックアップおよびスナップショットの場所、ならびにそのシークレットについて
リンクのコピー

5.10.1.2.1. デフォルト Secret の作成
リンクのコピー

5.10.1.2.2. 異なる認証情報のシークレットの作成
リンクのコピー

5.10.1.3. Data Protection Application の設定
リンクのコピー

5.10.1.3.1. Velero の CPU とメモリーのリソース割り当てを設定
リンクのコピー

5.10.1.3.2. 自己署名 CA 証明書の有効化
リンクのコピー

5.10.1.3.2.1. Velero デプロイメント用のエイリアス化した velero コマンドで CA 証明書を使用する
リンクのコピー

5.10.1.4. Google Workload Identity 連携のクラウド認証
リンクのコピー

5.10.1.4.1. Google Workload Identity 連携の既知の問題
リンクのコピー

5.10.1.5. Data Protection Application のインストール
リンクのコピー

5.10.1.6. クライアントバースト設定と QPS 設定を使用した DPA の設定
リンクのコピー

5.10.1.7. DPA の imagePullPolicy 設定のオーバーライド
リンクのコピー

5.10.1.7.1. ノードエージェントとノードラベルの設定
リンクのコピー

5.10.1.7.2. DataProtectionApplication CR で CSI を有効にする
リンクのコピー

5.10.1.7.3. DataProtectionApplication でノードエージェントを無効にする
リンクのコピー